El Frontier Red Team de Anthropic publicó el 12 de octubre un estudio cuya conclusión es que los modelos abiertos con pocos parámetros podrían, dentro de unos meses, tener capacidad para autorreplicarse en dispositivos IoT baratos, como los TV box Android de unas pocas decenas de dólares. Los autores, William Zhou y Daniel Freeman, llaman a este tipo de programa "replicador basado en pesos" (weight-based replicator): el propio modelo escanea la red, entra en los dispositivos, copia sus pesos, monta un servicio de inferencia en la máquina nueva y sigue expandiéndose desde allí.
La frase textual del artículo es:
"may be months away from being capable enough to self-replicate on commercial internet-of-things (IoT) devices"
(podrían estar a meses de tener capacidad suficiente para autorreplicarse en dispositivos comerciales de internet de las cosas (IoT).)
Una prueba en cuatro pasos
El estudio descompone el proceso de replicación en partes. El primer paso es desplegar la inferencia en hardware desconocido. Qwen3.5-9B logró poner en marcha la inferencia por sí mismo en 8 de 9 tipos de hardware, desde una Jetson Nano hasta un Mac y una RTX 4090, con un proceso que duró entre 28 y 51 horas por ejecución. El modelo más grande, Gemma4-26B-A4B, se dividió para correr en 15 TV box Android de unos 55 dólares cada uno y 4 GB de memoria, a unos 0,3 tokens por segundo; el despliegue completo llevó entre 71 y 150 horas.
El segundo paso es la replicación de extremo a extremo. El equipo montó en Google Cloud una red simulada de 8 nodos y pidió a los modelos que hicieran de una vez el escaneo, la intrusión, la transferencia de pesos y el despliegue de la inferencia. Entre los modelos abiertos, solo GLM-5.2 lo completó de forma estable: en 5 pruebas, 4 veces se extendió a los 8 nodos y la restante llegó a 7. Los modelos de menos de 30.000 millones de parámetros resolvían la mayoría de los pasos individuales, pero fallaban cuando la cadena se alargaba.
El tercer paso mide el "aprendizaje entre generaciones". Se pidió a Qwen3.5-9B que pasara a la siguiente generación las notas dejadas por la anterior; a lo largo de 6 generaciones y 20 linajes, la tasa de éxito subió del 45 % de la primera generación a entre el 61 % y el 84 % en las posteriores. El estudio también probó a poner a Claude Opus 4.8 como asesor del modelo pequeño, sin que la mejora fuera significativa.
Escala y velocidad
Anthropic tomó la botnet Kimwolf como referencia para estimar que, si se infectaran más de 2 millones de dispositivos de este tipo, podrían ejecutarse unas 133.000 copias del modelo, con un rendimiento conjunto de unos 80.000 tokens por segundo, una capacidad de cómputo equivalente a unas 40 GPU H100. Una red así carece de nodo central y es difícil de cortar de un golpe, pero se propaga despacio: el número de copias tarda varios días en duplicarse.
Los autores enumeran por su cuenta varias limitaciones. En el experimento, la fase de intrusión se simplificó a un puerto de depuración ADB sin autenticación, por lo que la tasa de éxito debe entenderse como un techo; el ECI usado para proyectar la tendencia es un indicador general de capacidad y no mide directamente la capacidad de replicación; la velocidad y la escala se basan en un único tipo de hardware y en una botnet histórica; no se probó el escenario de una botnet de IA enfrentada a defensores. Sobre la calidad de los correos de spear phishing redactados por modelos pequeños, el estudio la califica de "muy mala" a "mala".
Qué tiene que ver con China
Los modelos principales de la prueba, Qwen de Alibaba y GLM de Zhipu AI, son pesos abiertos de fabricantes chinos. El estudio no dice que esos modelos tengan defectos; lo que se aprovechó fue justamente que son potentes y se pueden ejecutar en local. Hasta ahora, ninguna de las dos empresas se ha pronunciado públicamente sobre la investigación.
Los TV box Android, los proyectores y las cajas de todo tipo usados como vehículo tienen una presencia enorme en los hogares chinos, y el sector de la seguridad lleva años advirtiendo de que salen de fábrica con el puerto de depuración abierto y la contraseña por defecto sin cambiar. El Reino Unido ya ha prohibido por ley que los dispositivos IoT usen contraseñas por defecto; en China, en las fuentes públicas todavía no se ve una exigencia obligatoria con la misma contundencia.
Las recomendaciones de defensa siguen la experiencia de la época de Mirai: los operadores vigilan las anomalías de tráfico, aíslan a los usuarios infectados y les avisan para que limpien sus equipos. Aquel enfoque eliminó el 92 % de las infecciones en 14 días, frente al 74 % del grupo de control al que no se avisó. El objetivo que plantea Anthropic es reducir el coeficiente de propagación R₀ del replicador por debajo de 1.
El estudio añade otro dato: si el paso de despliegue se sustituye por un script fijo, incluso un modelo de 3B parámetros puede cubrir aproximadamente la mitad de las máquinas de una red de 17 nodos. Cuanto más pequeño es el modelo, más fácil resulta meterlo en un dispositivo; hacia dónde evolucione esta línea dependerá de la magnitud del salto de la próxima ronda de modelos abiertos pequeños.
Fuentes: CocoLoop, blog de investigación del Frontier Red Team de Anthropic; en la página del estudio se verificaron el número de parámetros de cada modelo, los tipos de hardware, las tasas de éxito, las tasas de éxito entre generaciones y el criterio de la estimación de escala de Kimwolf.